多媒体编程、网络编程、系统编程、网络安全编程、驱动编程

12月 11月 10月 09月 08月 07月 06月 04月 03月 02月 01月

转载 Windows内核编程之：分页内存与非分页内存

Windows规定有些虚拟内存可以交换到文件中，这类内存被称为分页内存有些虚拟内存永远不会交换到文件中，这些内存叫非分页内存#define PAGEDCODE code_seg(“PAGE”);//分页内存#define LOCKEDCODE code_seg();//非分页的#define INITCODE code_seg(“INIT”);

2015-11-30 16:34:50 1994

转载 Using the !analyze Extension

https://msdn.microsoft.com/en-us/library/windows/hardware/ff560201(v=vs.85).aspxUsing the !analyze ExtensionThe first step in debugging a crashed target computer or application is to

2015-11-27 16:57:53 535

转载 APC注入

/***********************************desc : This code was written for inject a dll named text.dll to the target process based on APC.time : 2013coder: ejoywx**********************

2015-11-24 14:15:10 483

转载使用C编写shellcode

使用C编写shellcode背景有时候程序员们需要写一段独立于位置操作的代码，可当作一段数据写到其他进程或者网络中去。该类型代码在它诞生之初就被称为 shellcode，在软件利用中黑客们以此获取到shell权限。方法就是通过这样或那样的恶意手法使得这段代码得以执行，完成它的使命。当然了，该代码仅能靠它自己，作者无法使用现代软件开发的实践来推进shellcode的编写。

2015-11-23 15:56:22 893

转载 Windbg实用手册

基本知识和常用命令（1） Windbg下载地址http://msdn.microsoft.com/en-us/windows/hardware/gg463009.aspx安装完后执行windbg –I将Windbg设置成默认调试器（2） Windbg的命令分为标准命令，原命令和扩展命令，输入问号(?)可以显示所有的标准命令的帮助信息; 元命令以一个点(.)

2015-11-20 12:56:22 490

转载输入表重建工具ImportREC

Import REConstructor可以从杂乱的IAT中重建一个新的Import表（例如加壳软件等），它可以重建Import表的描述符、IAT和所有的ASCII函数名。用它配合手动脱壳，可以脱UPX、CDilla1、PECompact、PKLite32、Shrinker、ASPack, ASProtect等壳。该工具位于：光盘\tools\PE tools\Rebuilders\Import

2015-11-20 12:17:29 1133

原创针对LdrLoadDll下条件断点过滤指定名称DLL加载时断点生效

针对加载*ser32.dll下断点：bu ntdll!LdrLoadDll "r $t0=poi(poi(esp+c)+4);as /mu ${/v:dllname} @$t0;.block{.if($spat(\"${dllname}\",\"*ser32.dll\")){kbn}; .else{ad ${/v:dllname};g}}"-----------------------

2015-11-17 18:05:33 1050

转载 windbg检测句柄泄露（定位到具体代码）

1.构造一个测试用例[cpp] view plaincopy#include "stdafx.h" #include void NormalFunc() { HANDLE hEvent; hEvent = CreateEvent(NULL,TRUE,TRUE,NULL);

2015-11-17 13:11:32 818

转载 taskmgr多开补丁

本来想写xxx游戏多开补丁的，后来想想算了，这个游戏有违道德，so 选择一个微软自己的东西搞搞理论就好了。经常用任务管理器的人都知道taskmgr默认是只能开一个的，除非电脑非常卡的时候可以开很多个，就像xxx游戏在运行一个客户端以后，迅速的再双击，又可以再运行一个差不多原理（这个跟多线程安全差不多）。程序只能运行一个实例的方法有很多，理论就不讲了，直接开场t

2015-11-16 16:17:35 782

转载利用FS寄存器得到任意函数地址

[plain] view plaincopy;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;; ; ; 程序函数说明：利用fs寄存器，得到任意的函数地址 ; by：瀚海 2011年11月19日

2015-11-16 16:12:36 1335

转载 MicroSoft编译器你不可不知的秘密

标题: 【原创】MicroSoft编译器你不可不知的秘密作者: 黑猫①号时间: 2012-12-15 23:33转载请注明出处链接: http://blog.csdn.net/jha334201553/article/details/8300153注：1. 本文是写给调用dll原理不太清楚，以及不知道怎么调用未声明但是已经导出的windows API（例

2015-11-16 16:03:56 984

转载 MmGetSystemRoutineAddress 函数实现代码

MmGetSystemRoutineAddress这个函数也是比较有用的，是得到系统导出函数的地址，不过网上都是写了一堆汇编代码在哪里，根本没有可读性，还不如用IDA看呢。下面的函数是摘自ReactOS项目的代码：[cpp] view plaincopyPVOID NTAPI MmGetSystemRoutineAddre

2015-11-16 16:00:38 2170

转载 DOS攻击之SYN攻击法

#define _W64#define HAVE_REMOTE#include#include#include#include #include "remote-ext.h"#pragma comment(lib,"wpcap.lib")#pragma comment(lib,"WS2_32.lib")#pragma pack(push,

2015-11-16 15:58:15 662

转载 Windbg调试win登录用户密码验证过程

Windbg调试win登录用户密码验证过程注：文章内容没什么特别的新意，别人都已经写烂了，我只是记录下windbg的调试命令而已，重点在扩展阅读中。写在前面：Windows系统开机密码验证时在msv1_0.dll的MsvpPasswordValidate函数中进行的，这个函数原型是：BOOLEAN __stdcallMsvpPassw

2015-11-16 15:37:44 780

转载 NTFS XCB定位

标题: 【原创】NTFS XCB定位。作者: zkgy时间: 2013-07-04,11:19:47链接: http://bbs.pediy.com/showthread.php?t=174789NTFS XCB 定位小小的一个研究。。。顺便纠正一下sudami大牛在《NTFS底层挖掘中》关于通过SCB定位子LCB的一个错误。给研究NTFS的人做一点小小

2015-11-16 13:34:09 1070

转载学NTFS格式磁盘解析及atapi磁盘读写

链接：http://forum.eviloctal.com/thread-39947-1-1.html[原创]也学NTFS格式磁盘解析及atapi磁盘读写信息来源：邪恶八进制信息安全团队（www.eviloctal.com）文章作者：Styxal这个么……其实是某门课的大作业……自选题，于是就选了解析NTFS格式磁盘及Atapi读写，主要目的还是……破隐藏、穿还原、

2015-11-16 13:22:59 689

转载 Windbg设置条件断点

条件断点（condition breakpoint）的是指在上面3种基本断点停下来后，执行一些自定义的判断。在基本断点命令后加上自定义调试命令，可以让调试器在断点触发停下来后，执行调试器命令。每个命令之间用分号分割。语法格式如:0:000> bp Address "j (Condition) 'OptionalCommands'; 'gc' "0:000> bp

2015-11-13 17:27:46 470

转载各种编程语言查找按钮事件

http://blog.csdn.net/lwglucky/article/details/5289532一、VB程序其实,VB的按纽事件的找法是最为普遍的,也就是大家所谓的万能断点.其实也不仅仅是针对按纽事件,还有很多其他的用处,如取消NAG,启动框,灰色按纽或隐藏按纽,启动时的timer事件等等,具体的就自己去总结吧,这里只演示按纽事件!OD载入后,CTRL+B,81

2015-11-13 17:23:10 578

转载 ring3改KernelCallbackTable防键盘钩子

ring3改KernelCallbackTable防键盘钩子__declspec(naked) test(){ _asm { ret jmp oldaddr }}DWORD * KernelCallbackTable = NULL;_asm{ push eax mov eax,dw

2015-11-09 20:28:57 1780

转载服务中读取当前用户注册表HKEY_CURRENT_USER

服务 HKEY_CURRENT_USER HKEY_USER 读取 RegQueryValueEx 注册表我在服务程序中使用RegQueryValueEx读取注册表HKEY_CURRENT_USER下的内容，发现读取到的内容不是预期的内容。原因是：1.服务运行在系统权限之下，而不是任何一个用户2.HKEY_CURRENT_USER存储的是当前用户的信息

2015-11-09 19:47:49 2683

转载当出现ntdll!KiUserExceptionDispatcher时，如何用windbg 定位正确堆栈

某些情况下，当程序崩溃时异常没有被程序捕获，就会出现ntdll!KiUserExceptionDispatcher这种情况，这时就需要通过其他方式获取产生异常时的正确堆栈下面为KiUserExceptionDispatcher 函数和一些相关函数写的伪代码。这个函数在NTDLL.DLL中，它是异常处理执行的起点[cpp] view plainco

2015-11-09 14:03:05 7076

转载 HOW TO: Find the Problem Exception Stack When You Receive an UnhandledExceptionFilter Call in the St

原文链接：https://support.microsoft.com/en-gb/kb/313109HOW TO: Find the Problem Exception Stack When You Receive an UnhandledExceptionFilter Call in the Stack TraceRetired KB Co

2015-11-09 14:00:59 592

SymLinks开源工具

符号链接名查看器，用Win32asm写的。在开发Windows驱动程序时非常有用。附带了此工具的asm源码，望珍惜。

2014-03-29

是一款以通用的 16 进制编辑器为核心，专门用来对付计算机取证、数据恢复、低级数据处理、以及 IT 安全性、各种日常紧急情况的高级工具：用来检查和修复各种文件、恢复删除文件、硬盘损坏、数码相机卡损坏造成的数据丢失等。功能包括（依照授权类型）： * 查看，编辑和修复磁盘，可用于硬盘，软盘，以及许多其它可存储介质类型。　　* 支持 FAT12，FAT16，FAT32 和 NTFS分区格式　　* RAM 编辑器，可直接查看/编辑被调试程序的虚拟内存　　* 数据解释器，精通 20 种数据类型　　* 使用模板编辑数据结构　　* 连接，分割，合并，分析和比较文件　　* 智能搜索和替换功能，进行替换时，如果替换字符大于或小于原始字符时可进行选择性操作　　* 不同驱动器克隆以及驱动器镜像解释　　* 脚本和应用程序接口（API）　　* 用于文件和磁盘的成熟的撤消和备份机制　　* 加密和解密数据，Hash 计算（校验和，CRC32，MD5，SHA-1，...）　　* 粉碎文件和磁盘数据，粉碎后的文件和磁盘数据任何人都不可能进行恢复　　* 支持所有剪贴板格式的导入　　* 数据格式转换，支持二进制，16 进制 ASCII，Intel 16 进制，及 Motorola-S 等数据之间的相互转换；　　* 隐藏数据和查找隐藏数据　　* 用于计算机进程的众多显著有效的高级功能

2014-03-29

w32dsm静态反汇编工具

W32Dasm是一个静态反汇编工具，也是破解人常用的工具之一，它也被比　　作破解人的屠龙刀。　　W32Dasm10.0修改版是经Killer在W32Dasm8.93基础上修改的，修改后的　　W32Dasm功能更强大，能完美显示中文字符串及VB程序，内含16进制编辑　　器，破解修改软件更容易，真可谓是反汇编极品！

2014-03-29

OllyDBG_1.10

OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具

2014-03-29

PEiD 0.94版本

PEiD是一款著名的查壳工具，PEiD功能强大，几乎可以侦测出所有的壳，PEiD数量已超过470 种PE 文档的加壳类型和签名。PEiD内置有差错控制的技术，所以一般能确保扫描结果的准确性。 PEiD新增加WinNT平台下的自动脱壳器插件，可以应对现在大部分的软件脱壳（包括PEiD自身的UPXShit0.06壳）！现在软件越来越多的加壳了，给破解带来非常大的不便，但是这个PEiD软件可以检测出 450种壳，非常方便！增加病毒扫描功能，是目前各类查壳工具中，性能最强的。另外PEiD还可识别出EXE文件是用什么语言编写的，比如：VC++、Delphi、VB或Delphi等。支持文件夹批量扫描；插件增加到5个:General OEP、Kanal 1.3,FSG v1.33 Unpacker，CRC32(新增加的)，PEiD 通用脱壳器 Forwinnt2kxp(新增加的)， ……功能全部开放！强烈推荐！

2014-03-29

Windows 硬件认证循序渐进指南

2013-06-06

漫谈兼容内核

漫谈兼容内核毛德操精华漫谈兼容内核之一：ReactOS怎样实现系统调用漫谈兼容内核之二：关于kernel-win32的对象管理漫谈兼容内核之三：Kernel-win32的文件操作漫谈兼容内核之四：Kernel-win32的进程管理漫谈兼容内核之五：Kernel-win32的系统调用机制漫谈兼容内核之六：二进制映像的类型识别漫谈兼容内核之七：Wine的二进制映像装入和启动漫谈兼容内核之八：ELF映像的装入(一) 漫谈兼容内核之九：ELF映像的装入(二) 漫谈兼容内核之十：Windows的进程创建和映像装入漫谈兼容内核之十一：Windows DLL的装入和连接漫谈兼容内核之十二：Windows的APC机制漫谈兼容内核之十三：关于“进程挂靠” 漫谈兼容内核之十四：Windows的跨进程操作漫谈兼容内核之十五：Windows线程的等待、唤醒机制漫谈兼容内核之十六：Windows的进程间通信漫谈兼容内核之十七：再谈Windows的进程创建漫谈兼容内核之十八：Windows的LPC机制漫谈兼容内核之十九：Windows线程间的强相互作用漫谈兼容内核之二十：Windows线程的系统空间堆栈漫谈兼容内核之二十一：Windows进程的用户空间漫谈兼容内核之二十二：Windows线程的调度和运行漫谈兼容内核之二十三：关于TLS 漫谈兼容内核之二十四：Windows的结构化异常处理(一) 漫谈兼容内核之二十五：Windows的结构化异常处理(二) 漫谈兼容内核之二十六：Windows的结构化异常处理(三)

2013-05-02

空空如也

TA创建的收藏夹 TA关注的收藏夹

TA关注的人

SymLinks开源工具

WinObjEx.exe

winhex编辑器

w32dsm静态反汇编工具

OllyDBG_1.10

PEiD 0.94版本

Windows 硬件认证循序渐进指南

漫谈兼容内核

服务启动技术

bochs 2.6 source code

蚂蚁压缩工具,免杀,文件压缩,压缩,黑客

易度空间 花指令添加器v2.0

木马免疫器,木马免杀制作运用到的加花指令工具.

上兴应用程序加壳V1.0(过瑞星表面)

花指令添加器 8Way 个人版

冰枫文件加密器1.0

上兴超强加壳免杀器3.0

花指令生成器(GUI)

Import REConstructor V1.4和V1.6两个版本

万能图标提取器 V1.0(100%不变色)

win2000API学习资料

微软的ASP专用加密解密工具,加密解密

Asp 文件加密器(MyAsp) v2.0,网马免杀,免杀

MaskPE是一款自动修改PE文件的软件

cpuz-v1.4.9H 系统硬件检测软件

空空如也

易度空间花指令添加器v2.0